网络安全分析课件

《网络安全分析课件》由会员分享，可在线阅读，更多相关《网络安全分析课件（71页珍藏版）》请在金锄头文库上搜索。

1、第3讲 网络安全分析,主讲：张文科 重庆城市管理职业学院 信息工程学院,主要内容,重庆城市管理职业学院 信息工程学院 张文科,TCP 报头,客户端发起,服务器应答,重庆城市管理职业学院 信息工程学院 张文科,TCP RST报文,使用telnet 目的IP地址 2000端口号所产生,重庆城市管理职业学院 信息工程学院 张文科,TELNET 报文,重庆城市管理职业学院 信息工程学院 张文科,手工发送邮件,重庆城市管理职业学院 信息工程学院 张文科,发送电子邮件指令说明,1、HELO 向服务器标识用户身份 发送者能欺骗，说谎，但一般情况下服务器都能检测到。 2、MAIL FROM: ；向接收者标识发

2、件人地址。 3、RCPT TO: ；标识收件人地址。 4、DATA ；请求发送消息数据，每行以结尾，以一个只有“.”号的行结束。 5、QUIT ；关闭连接。,重庆城市管理职业学院 信息工程学院 张文科,接收电子邮件指令,POP3服务器响应一般为：“+OK”表示成功，“-ERR”表示失败。 1、USER ；用户登录。 2、PASS ；发送用户密码。 3、STAT；返回邮箱列表（邮件数量、字节）。 4、DELE ；删除指定的邮件。 5、LIST ；返回指定的邮件报头。 6、RETR ；传回指定的邮件，以只有一个“.”号的行结束。 7、QUIT；关闭连接。,重庆城市管理职业学院 信息工程学院 张文科

3、,重庆城市管理职业学院 信息工程学院 张文科,一、网络安全威胁,网络信息系统都不可避免地存在着这样或那样的安全缺陷。有些安全缺陷可以通过人为努力或者改进，但有些安全缺陷则是各种折中所必须付出的代价。,重庆城市管理职业学院 信息工程学院 张文科,1.1 网络缺陷概述,网络技术是计算机技术与通信技术的结合。易受自然灾害和人为破坏，软硬件易受非法程序. 网络安全缺陷通常分为物理网络的安全缺陷、过程网络的安全缺陷以及通信链路的安全缺陷。,重庆城市管理职业学院 信息工程学院 张文科,1.1.1 基本的安全威胁,1、网络的规模 网络的规模越大，则网络的脆弱性和安全性等问题也随之增加。 2、电磁辐射和电磁泄

4、漏 电磁辐射分为辐射发射和传导发射二种。一些发达国家的设备能够在1KM外收集到计算机工作站所发射出来的电磁信息。 3、搭线 4、串音,重庆城市管理职业学院 信息工程学院 张文科,1.1.2 中国特色的安全缺陷,1、技术被动性引起的安全缺陷 芯片、国外设备、高新技术设备等 2、人员素质问题引起的安全缺陷 法律靠人、管理靠人、技术靠人。人是各个安全环节中最重要的因素。 3、缺乏系统的安全标准所引起的缺陷 我们应结合国外的标准组织，结合我国的情况来制定自己的标准。,重庆城市管理职业学院 信息工程学院 张文科,1.2 网络拓扑安全,1、总线型拓扑结构 （1）故障诊断困难； （2）故障隔离困难； （3）

5、终端必须是智能化的。 2、星型拓扑结构 （1）电缆的长度和安装； （2）扩展困难； （3）对中央结点的依赖性太大； （4）容易出现“瓶颈”现象。,重庆城市管理职业学院 信息工程学院 张文科,1.2 网络拓扑安全,3、环型拓扑结构 （1）节点的故障将引起全网的故障； （2）诊断故障困难； （3）不易重新配置网络； （4）影响访问协议。 4、树型拓扑结构 主要的缺陷是对根结点的依赖性太大，如果根结点出了故障，则全网都无法工作。该结构与星型结构类似。,重庆城市管理职业学院 信息工程学院 张文科,1.3 网络软件漏洞,网络系统是由软件与硬件组成。由于软件程序的复杂性、编程的多样性和人能力的局限性，在网

6、络信息系统中的软件很容易有意或无意的留下一些不易被发现的安全漏洞。,重庆城市管理职业学院 信息工程学院 张文科,1.3.1 陷井及其防范,1、什么是陷井？ 是一个程序模块。它秘密的、未记录入文档的入口。一般来说，是在程序开发时插入的一小段程序代码，目的是用于测试这个模块或有助于将来更改和升级程序。在程序开发后期将出除这些。但由于有意或无意，在程序的后期没有去除。 2、常见的陷井 （1）逻辑炸弹 对日期敏感的软件，一但时间到达，进入死循环，造成系统死机。,重庆城市管理职业学院 信息工程学院 张文科,1.3.1 陷井及其防范,（2）远程遥控 （3）远程维护 （4）非法通信 （5）贪婪程序 大量点用

7、机时。 3、解决办法 （1）加强程序开发过程的控制 （2）加强程序使用中的安全控制 （3）制定软件开发规范，加强管理。,重庆城市管理职业学院 信息工程学院 张文科,1.3.2 操作系统安全漏洞及防范,操作系统是一个系统软件，由于是软件，存在一些漏洞。 操作系统的安全漏洞表现为： （1）I/O非法访问； （2）访问控制的混乱； （3）不完全的中介（没有安全保护）； （4）操作系统后门； 防范方法： 建立和完善OS的评估标准、评价方法和测试质量。,重庆城市管理职业学院 信息工程学院 张文科,1.1.3 数据库的安全漏洞和防范,数据库是从OS中的文件系统派生出来的，用于大量数据的管理系统。 继承了O

8、S的相应缺陷。,重庆城市管理职业学院 信息工程学院 张文科,1.3.4 TCP/IP协议的漏洞与防范,在异种机的互联中，让网络安全专家头痛的是种种漏洞与缺陷。 脆弱的认证机制；窃听与监视；欺骗等。,重庆城市管理职业学院 信息工程学院 张文科,1.3.5 网络软件与网络服务漏洞,1、协议和服务所设计的交互机制可能存在的漏洞； 2、规模的复杂性和人为的因素（如口令）。,重庆城市管理职业学院 信息工程学院 张文科,1.4 网络人为威胁,1、以操作失误为代表的无意威胁； 2、以恶意攻击有目的的破坏。 人为攻击有以下的特征： （1）智能性； （2）严重性； （3）隐蔽性； （4）多样性；,重庆城市管理职

9、业学院 信息工程学院 张文科,1.4 网络人为威胁,人为攻击的代表作（国家与团体）： （1）信息战； （2）商业间谍； 人为攻击的代表作（个人）： （1）窃听； （2）流量分析； （3）破坏完整性； （4）重发； （5）假冒； （6）拒绝服务； （7）资源的非授权使用； （8）干扰； （9）病毒； （10）诽谤。,重庆城市管理职业学院 信息工程学院 张文科,1.5 网络安全威胁小结,网络安全威胁,非人为因素,人为因素,其它因素,自然灾害 设备老化 硬盘等存储介质失效,无意失误 恶意攻击,主动攻击 被动攻击,尚未查明的系统安全漏洞或编程的后门 即有天灾又人为因素的复杂事件,重庆城市管理职业学院

10、信息工程学院 张文科,二、TCP/IP的安全性,重庆城市管理职业学院 信息工程学院 张文科,2.1 链路层安全,链路层上的攻击大多数都是在数据链路层上进行侦听数据、干扰数据收发以及截获并篡改数据。,重庆城市管理职业学院 信息工程学院 张文科,2.1.1 以太网安全分析,在以太网之中，信道是共享的，任何主机发送的一个以太网帧都会到达别的与该主机处于同一网段的所有主机的以太网接口。 MAC地址都是固化在寄存器内部的，但很多的软件都可以对MAC地址进行修改，能够形成MAC地址欺骗。 在交换机上配置MAC与端口的映射。,重庆城市管理职业学院 信息工程学院 张文科,2.1.2 ARP欺骗,ARP欺骗（A

11、RP spoofing），也叫ARP毒药（ARP poison）。 现在的局域网大都使用交换机，在交换机内部，维护着一张IP地址与MAC对映的表格。这时攻击者可以考虑使用攻击，让交换机进行失败保护模式（fail-safe mode），使交换机变为集线器。 如果交换机不支持fail-safe mode，则使用ARP欺骗。,重庆城市管理职业学院 信息工程学院 张文科,2.2 网络层安全,网络层的攻击与防范，主要包括IP地址欺骗、IP包碎片、igmpnuke攻击、ICMP攻击、路由欺骗等等。,重庆城市管理职业学院 信息工程学院 张文科,2.2.1 IP地址欺骗,难点： 1、因为远程主机只向伪造的IP

12、地址发送应答信号，攻击者不可能收到远程主机发出的信息。 2、要在攻击与被攻击之间建立连接，攻击者要使用正确的序列号。 目的： 1、攻击者只想隐蔽自身的IP地址，而不关心是否收到目的主机的应答。 2、伪装成被目标主机信任的友好主机得到非授权服务。,重庆城市管理职业学院 信息工程学院 张文科,2.2.2 IP包碎片,链路层有最大传输单元，它限制了数据帧的长度，不同网络类型有不同的值。如果IP层有数据包要传送，且数据包的长度大于MTU，就要进行分片，使得每一片的大小小于等于MTU值。 某些系统在收到含有重叠偏移的伪造分段时将崩溃。,重庆城市管理职业学院 信息工程学院 张文科,2.2.2 IP包碎片,

13、1、teardrop（泪滴） 原理：攻击都发送多个报文（=2个），第一个包的偏移量为0，长度为N（这个N=MTU）；第二个包的偏移量小于N，同时算上第二片的IP数据部分，也不超过第一片的尾部。 这也就是所谓的重叠现象。为了合并数据，有的系统会计算出负值，造成系统崩溃。（winNT在接收到10-50个teardrop分片时会崩溃）。,重庆城市管理职业学院 信息工程学院 张文科,2.2.2 IP包碎片,2、Jolt2 原理：发送许多相同的分片包，且这些包的偏移值与总长度之和超过了单个IP包的最大长度（65536）。 例如：构造IP包，分片位=0，最后一段位置0，偏移为0 x1ffe，报文长度29。

14、于是重组后的长度为(0 x1ffe*8+29=65549）,重庆城市管理职业学院 信息工程学院 张文科,2.2.3 IGMPNuke攻击,IGMPNuke攻击 IGMP是一个无连接协议，所以在向服务器连接时不需要指定的端口，只需要指定组IP地址即可。旦目标不能处理大量的IGMP数据包，很容易出现系统崩溃。 IGMPNuke利用的是tcp/ip协议对异常考虑不周的情况，对系统升级或打补丁可解决。,重庆城市管理职业学院 信息工程学院 张文科,2.2.4 ICMP攻击,主机对ICMP报文不认证，这使攻击者可以伪造ICMP包，使源主机产生错误的动作，从而达到特定的攻击效果。 常见的ICMP攻击： IP地址扫描、ping of death（64K上限的问题）、ping flooding、smurf、ICMP redirect、ICMP主机不可达、icmp ttl超时。 解决办法：禁止不必要的ICMP、严格重定向报文修改路由表、禁止未请求就给出IC